Katalog podatności CVE

Renovate w wersjach od 19.180.0 do przed 23.25.1, używany z Azure DevOps, może ujawniać token autoryzacyjny bota w logach serwera lub potoku, ponieważ parametr git http.extraheader=AUTHORIZATION jest logowany bez maskowania. Osoby z dostępem do zapisanych logów mogą uzyskać poświadczenia bota. Poprawka w wersji 23.25.1.

Renovate w wersjach od 13.87.0 do 19.38.6 wycieka tymczasowe tokeny repozytorium do komentarzy w pull requestach podczas niektórych scenariuszy błędów aktualizacji modułów Go. Problem naprawiono w wersji 19.38.7. Osoby mogące przeglądać komentarze mogą uzyskać ujawnione tokeny.

W produkcie cockpit-ws wykryto wyciek pamięci. Obsługa strony logowania przydziela pamięć na stercie przy każdym nieuwierzytelnionym żądaniu zawierającym ciasteczko CockpitLang, co pozwala zdalnemu atakującemu bez uwierzytelnienia wyczerpać pamięć hosta i spowodować odmowę usługi.

Wtyczka Stitch Express w wersjach do 1.9.0 zawiera podatność na nieuwierzytelniony złamany mechanizm kontroli dostępu (Broken Access Control). Oznacza to, że osoba atakująca bez logowania może uzyskać dostęp do funkcji lub danych, do których nie powinna mieć uprawnień.

Nieuwierzytelniona iniekcja SQL w Total Donations w wersjach do 2.0.5.

Nieuwierzytelniona eskalacja uprawnień w Total Donations w wersjach do 2.0.5.

Nieuwierzytelniona iniekcja obiektów PHP w Kalles Addons w wersjach do 1.0.6.

Nieuwierzytelniona iniekcja SQL w Nikstore Core w wersjach do 1.5.

Wtyczka Resido w wersjach do 1.5 zawiera podatność na nieuwierzytelnione lokalne dołączanie plików (Local File Inclusion). Atakujący bez logowania może odczytać dowolne pliki z serwera, wykorzystując parametr ścieżki.

Wtyczka Track Geolocation Of Users Using Contact Form 7 w wersjach do 3.0.2 zawiera podatność na nieuwierzytelnione ujawnienie wrażliwych danych. Atakujący bez logowania może uzyskać dostęp do danych, które powinny być chronione.

Wtyczka Outranking Plugin Options w wersjach do 1.1.3 zawiera podatność na nieuwierzytelniony złamany mechanizm kontroli dostępu. Atakujący bez logowania może zmieniać opcje wtyczki, co może prowadzić do nieautoryzowanych zmian konfiguracji.

Wtyczka Pay with Contact Form 7 w wersjach do 1.0.4 zawiera podatność na nieuwierzytelnione ujawnienie wrażliwych danych. Atakujący bez logowania może uzyskać dostęp do danych płatniczych lub innych poufnych informacji.

Podatność typu PHP Object Injection w wtyczce Flexible Subscriptions w wersjach do 1.8.1 włącznie. Umożliwia atakującemu wstrzyknięcie złośliwych obiektów PHP, co może prowadzić do nieautoryzowanego dostępu lub wykonania kodu.

Nieuwierzytelniona podatność na złamanie kontroli dostępu w wtyczce Taxi Booking Manager dla WooCommerce w wersjach przed 2.0.8. Osoba atakująca bez logowania może wykorzystać tę lukę do nieautoryzowanych działań.

Wtyczka SimplyRETS Real Estate IDX w wersjach do 3.2.8 zawiera podatność na nieuwierzytelnione Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Podatność umożliwiająca nieuwierzytelnioną eskalację uprawnień w aplikacji TrueBooker w wersjach do 1.2.6 włącznie. Atakujący bez logowania może podnieść swoje uprawnienia, np. do poziomu administratora.

Podatność typu SQL Injection w wtyczce NGG Smart Image Search w wersjach starszych niż 4.0.0. Nieuwierzytelniony atakujący może wstrzykiwać zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych.

Wtyczka Global Gallery w wersjach do 11.1.2 zawiera podatność na nieuwierzytelnione Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Podatność typu SQL Injection w wtyczce Maps Marker Pro w wersjach do 4.32 włącznie. Nieuwierzytelniony atakujący może wstrzykiwać zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych.

Wtyczka BBQ Pro w wersjach do 3.9 zawiera podatność na nieuwierzytelnione Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.